Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Opsi enkripsi untuk Amazon EMR

Dengan Amazon EMR merilis 4.8.0 dan yang lebih tinggi, Anda dapat menggunakan konfigurasi keamanan untuk menentukan pengaturan untuk mengenkripsi data saat istirahat, data dalam perjalanan, atau keduanya. Saat mengaktifkan enkripsi data saat istirahat, Anda dapat memilih untuk mengenkripsi EMRFS data di Amazon S3, data di disk lokal, atau keduanya. Setiap konfigurasi keamanan yang Anda buat disimpan di Amazon dan EMR bukan di konfigurasi cluster, sehingga Anda dapat dengan mudah menggunakan kembali konfigurasi untuk menentukan pengaturan enkripsi data setiap kali Anda membuat klaster. Untuk informasi selengkapnya, lihat Buat konfigurasi keamanan dengan EMR konsol Amazon atau dengan AWS CLI.

Diagram berikut menunjukkan pilihan enkripsi data yang berbeda tersedia dengan konfigurasi keamanan.

Opsi enkripsi berikut juga tersedia dan tidak dikonfigurasi menggunakan konfigurasi keamanan:

Enkripsi data memerlukan kunci dan sertifikat. Konfigurasi keamanan memberi Anda fleksibilitas untuk memilih dari beberapa opsi, termasuk kunci yang dikelola oleh AWS Key Management Service, kunci yang dikelola oleh Amazon S3, serta kunci dan sertifikat dari penyedia khusus yang Anda berikan. Saat menggunakan AWS KMS sebagai penyedia kunci Anda, biaya berlaku untuk penyimpanan dan penggunaan kunci enkripsi. Untuk informasi lebih lanjut, lihat AWS KMS harga.

Sebelum Anda menentukan opsi enkripsi, tentukan kunci dan sistem pengelolaan sertifikat yang ingin Anda gunakan, sehingga Anda dapat terlebih dahulu membuat kunci dan sertifikat atau penyedia kustom yang Anda tentukan sebagai bagian dari pengaturan enkripsi.

Enkripsi saat istirahat untuk EMRFS data di Amazon S3

Enkripsi Amazon S3 berfungsi dengan objek Amazon EMR File System (EMRFS) yang dibaca dan ditulis ke Amazon S3. Anda menentukan enkripsi sisi server Amazon S3 (SSE) atau enkripsi sisi klien (CSE) sebagai mode enkripsi Default saat Anda mengaktifkan enkripsi saat istirahat. Secara opsional, Anda dapat menentukan metode enkripsi yang berbeda untuk setiap bucket menggunakan Per penimpaan enkripsi bucket. Terlepas dari apakah enkripsi Amazon S3 diaktifkan, Transport Layer Security (TLS) mengenkripsi EMRFS objek yang sedang transit antara node EMR cluster dan Amazon S3. Untuk informasi selengkapnya tentang enkripsi Amazon S3, lihat Melindungi data menggunakan enkripsi di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

Enkripsi sisi server Amazon S3

Saat Anda mengatur enkripsi sisi server Amazon S3, Amazon S3 akan mengenkripsi data pada tingkat objek saat menulis data ke disk dan mendekripsi data saat diakses. Untuk informasi selengkapnyaSSE, lihat Melindungi data menggunakan enkripsi sisi server di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

Anda dapat memilih di antara dua sistem manajemen kunci yang berbeda saat Anda menentukan SSE di AmazonEMR:

SSEdengan kunci yang disediakan pelanggan (SSE-C) tidak tersedia untuk digunakan dengan Amazon. EMR

Enkripsi di sisi klien Amazon S3

Dengan enkripsi sisi klien Amazon S3, enkripsi dan dekripsi Amazon S3 berlangsung di klien di cluster Anda. EMRFS Objek dienkripsi sebelum diunggah ke Amazon S3 dan didekripsi setelah diunduh. Penyedia yang Anda tentukan menyediakan kunci enkripsi yang digunakan klien. Klien dapat menggunakan kunci yang disediakan oleh AWS KMS (CSE-KMS) atau kelas Java kustom yang menyediakan kunci root sisi klien (CSE-C). Spesifikasi enkripsi sedikit berbeda antara CSE - KMS dan CSE -C, tergantung pada penyedia yang ditentukan dan metadata objek yang didekripsi atau dienkripsi. Untuk informasi selengkapnya tentang perbedaan ini, lihat Melindungi data menggunakan enkripsi sisi klien di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

Enkripsi saat istirahat untuk data di Amazon EMR WAL

Saat Anda menyiapkan enkripsi sisi server (SSE) untuk write-ahead logging ()WAL, Amazon EMR mengenkripsi data saat istirahat. Anda dapat memilih dari dua sistem manajemen kunci yang berbeda saat Anda menentukan SSE di AmazonEMR:

Anda tidak dapat menggunakan kunci Anda sendiri SSE ketika Anda mengaktifkan WAL dengan AmazonEMR. Untuk informasi selengkapnya, lihat Write-ahead logs (WAL) untuk Amazon. EMR

Enkripsi disk lokal

Mekanisme berikut bekerja sama untuk mengenkripsi disk lokal saat Anda mengaktifkan enkripsi disk lokal menggunakan konfigurasi EMR keamanan Amazon.

Enkripsi sumber terbuka HDFS

HDFSpertukaran data antara instance cluster selama pemrosesan terdistribusi. Itu juga membaca dari dan menulis data ke volume penyimpanan instance dan EBS volume yang dilampirkan ke instance. Opsi enkripsi Hadoop sumber terbuka berikut diaktifkan ketika Anda mengaktifkan enkripsi disk lokal:

Enkripsi penyimpanan instans

EC2Misalnya jenis yang menggunakan NVMe berbasis SSDs sebagai volume penyimpanan instans, NVMe enkripsi digunakan terlepas dari pengaturan EMR enkripsi Amazon. Untuk informasi selengkapnya, lihat NVMeSSDvolume di Panduan EC2 Pengguna Amazon. Untuk volume penyimpanan instans lainnya, Amazon EMR menggunakan LUKS untuk mengenkripsi volume penyimpanan instans saat enkripsi disk lokal diaktifkan terlepas dari apakah EBS volume dienkripsi menggunakan EBS enkripsi atau. LUKS

EBSenkripsi volume

Jika Anda membuat klaster di Wilayah tempat EC2 enkripsi EBS volume Amazon diaktifkan secara default untuk akun Anda, EBS volume akan dienkripsi meskipun enkripsi disk lokal tidak diaktifkan. Untuk informasi selengkapnya, lihat Enkripsi secara default di Panduan EC2 Pengguna Amazon. Dengan enkripsi disk lokal diaktifkan dalam konfigurasi keamanan, EMR pengaturan Amazon lebih diutamakan daripada EC2 encryption-by-default pengaturan Amazon untuk instance clusterEC2.

Opsi berikut tersedia untuk mengenkripsi EBS volume menggunakan konfigurasi keamanan:

Enkripsi bergerak

Beberapa mekanisme enkripsi diaktifkan dengan enkripsi dalam transit. Ini adalah fitur sumber terbuka, khusus aplikasi, dan mungkin berbeda menurut rilis Amazon. EMR Fitur enkripsi khusus aplikasi berikut dapat diaktifkan menggunakan konfigurasi aplikasi Apache. Untuk informasi selengkapnya, lihat Mengkonfigurasi aplikasi.

Hadoop

• Penggunaan shuffle MapReduce terenkripsi Hadoop. TLS

• Secure Hadoop RPC diatur ke “Privasi” dan digunakan SASL (diaktifkan di Amazon EMR saat enkripsi saat istirahat diaktifkan).

• Enkripsi data pada transfer data HDFS blok menggunakan AES 256 (diaktifkan di Amazon EMR ketika enkripsi saat istirahat diaktifkan dalam konfigurasi keamanan).

• Untuk informasi selengkapnya, lihat Hadoop dalam mode aman di dokumentasi Apache Hadoop.

HBase

• Ketika Kerberos diaktifkan, properti hbase.rpc.protection diatur ke privacy untuk komunikasi terenkripsi.

• Untuk informasi selengkapnya, lihat Konfigurasi sisi klien untuk pengoperasian yang aman di dokumentasi HBase Apache.

• Untuk informasi lebih lanjut tentang Kerberos dengan AmazonEMR, lihat. Gunakan Kerberos untuk otentikasi dengan Amazon EMR

Hive

• JDBC/komunikasi ODBC klien dengan HiveServer 2 (HS2) dienkripsi menggunakan SSL konfigurasi di Amazon EMR rilis 6.9.0 dan yang lebih baru.

• Untuk informasi selengkapnya, lihat bagian SSLenkripsi dokumentasi Apache Hive.

Spark

• RPCKomunikasi internal antara komponen Spark, seperti layanan transfer blok dan layanan shuffle eksternal, dienkripsi menggunakan cipher AES -256 di Amazon versi 5.9.0 dan yang lebih baru. EMR Dalam rilis sebelumnya, RPC komunikasi internal dienkripsi menggunakan SASL dengan DIGEST - MD5 sebagai sandi.

• HTTPkomunikasi protokol dengan antarmuka pengguna seperti Spark History Server dan server file HTTPS yang diaktifkan dienkripsi menggunakan konfigurasi Spark. SSL Untuk informasi selengkapnya, lihat SSLkonfigurasi dalam dokumentasi Spark.

• Untuk informasi selengkapnya, lihat bagian Pengaturan keamanan Spark pada dokumentasi Apache Spark.

Tez

• Tez shuffle handler menggunakan TLS (). tez.runtime.ssl.enable

Presto

• Komunikasi internal antara node Presto menggunakanSSL/TLS(Amazon EMR versi 5.6.0 dan yang lebih baru saja).

Anda menentukan artefak enkripsi yang digunakan untuk enkripsi dalam transit di salah satu dari dua cara: baik dengan menyediakan file zip sertifikat yang Anda upload ke Amazon S3, atau dengan referensi kelas Java kustom yang menyediakan artefak enkripsi. Untuk informasi selengkapnya, lihat Menyediakan sertifikat untuk mengenkripsi data dalam perjalanan dengan enkripsi Amazon EMR.